CVE-2026-85248 Omisión de verificación de firmas en Apache Camel PQC por instancia compartida sin sincronización

Qué es CVE-2026-85248

Vulnerabilidad de condición de carrera en el componente PQC de Apache Camel, en versiones 4.12.0 a anteriores a 4.18.5 y 4.19.0 a anteriores a 4.22.1. El productor usaba una única instancia de java.security.Signature para todos los exchanges sin sincronizar el acceso. Con exchanges concurrentes, las llamadas update() y verify() de distintos mensajes se intercalan, por lo que una verificación puede completarse contra datos de otro exchange o contra un búfer parcialmente acumulado, e incluso informar éxito para un…

Productos y versiones afectadas

• Apache Software Foundation Apache Camel

  • desde 4.12.0 hasta antes de 4.18.5
  • desde 4.19.0 hasta antes de 4.22.1

Qué hacer

1. Verificá si usás Apache Camel y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• oscerd/CVE-2026-85248 ↗Reproducer for CVE-2026-85248 — Apache Camel camel-pqc concurrent Signature race / verification bypass (CWE-362); Spring Boot + Quarkus, affected vs fixedPUBLICADO 19 OCT · 16:42

Calculadora CVSS

CVSS 3.1 · 5.9 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') vulnerability in Apache Camel PQC component. This issue affects Apache Camel: from 4.12.0 before 4.18.5, from 4.19.0 before 4.22.1. The producer held a single java.security.Signature instance and used it for every exchange without synchronizing access. Signature is stateful and is not thread safe: update() accumulates the data to be signed or verified, and verify() consumes that accumulated state. With concurrent exchanges sharing one instance the update and verify calls of different messages interleave, so a verification can complete against data that belongs to another exchange, or against a partially accumulated buffer. The outcome is non-deterministic and includes a verification reporting success for a message whose signature was never actually checked, which defeats the guarantee the component exists to provide. Reaching it requires concurrent traffic through the same endpoint, which is the ordinary condition for a Camel route under load. Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. The Signature instance is no longer shared across concurrent exchanges. For deployments that cannot upgrade immediately, restrict the affected route to a single concurrent consumer so that no two exchanges use the instance at once.

Referencias

• camel.apache.org/security/CVE-2026-85248.htmlVENDOR-ADVISORY
• issues.apache.org/jira/browse/CAMEL-24445ISSUE-TRACKING
• github.com/apache/camel/pull/25825PATCH
• github.com/apache/camel/pull/25850PATCH
• github.com/apache/camel/pull/25851PATCH

Historial de la alerta

1. 19 OCT · 16:42EXPLOIT PÚBLICO Se publicó el repositorio oscerd/CVE-2026-85248.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.